Case a contenção com a evidência, e escale a decisão de negócio em vez de tomá-la sozinho. Se há sinais de atividade manual ativa, roubo de credenciais ou preparação, isole agora e informe o comandante do incidente, porque uma interrupção curta custa menos que um comprometimento de domínio inteiro. Se a atividade parece adormecida, aplique contenção parcial (bloquear comando e controle, revogar sessões, forçar reset de credencial) e agende o isolamento completo.
Por que os entrevistadores perguntam isso
Essa é uma pergunta de julgamento vestida de técnica. O entrevistador quer um limiar defensável, evidência de que você escala em vez de desconectar unilateralmente um stakeholder sênior, e o conhecimento de que existem opções de contenção parcial entre não fazer nada e arrancar o cabo. Como você planeja comunicar a ação importa aqui tanto quanto a decisão técnica em si.
Como estruturar sua resposta
- Declare o seu limiar de contenção antes de decidir.
- Ofereça as opções de contenção parcial que compram tempo.
- Nomeie quem é dono da decisão de negócio e em quanto tempo você o alcança.
- Diga como você comunicaria isso à pessoa afetada.
Exemplo de resposta
Meu limiar é evidência de atividade ativa de operador ou de acesso a credenciais. Se eu vejo execução interativa de comandos, extração de credenciais ou dados sendo preparados, eu isolo agora e peço desculpas depois, porque o intervalo entre um notebook comprometido e um domínio comprometido pode ser de dez minutos. Mas eu não arrancaria em silêncio. Eu ligo para o comandante do incidente, dou a evidência em uma frase e a minha recomendação, e deixo ele tomar a decisão de negócio enquanto eu preparo a ação para acontecer no segundo em que ele disser sim. Se parece adormecido, digamos um beacon que não faz check-in há horas, eu pego o caminho do meio: mando o domínio de comando e controle para um sinkhole, revogo as sessões e os refresh tokens da conta, bloqueio o hash do processo, e mantenho telemetria completa no host para eu poder observar. E isolo quando a reunião terminar. Para a conversa em si, eu vou pela assistente executiva com uma linha curta e factual e sem jargão, porque um executivo em pânico numa reunião de conselho não ajuda ninguém.
Vai encarar essa entrevista em breve? O GhostPilot escuta a sua chamada ao vivo, identifica a pergunta no instante em que ela é feita e coloca uma resposta estruturada na sua tela em tempo real. Teste na sua próxima entrevista simulada ou pegue um Session Pass de $29, sem assinatura, para a hora da verdade.
Veja como funcionaPerguntas de acompanhamento que você pode esperar
- Que evidência faria você isolar sem esperar aprovação?
- Como você continua observando o host depois de isolado?
- Quem você avisa, e quando, se houver dado regulado envolvido?
Mais perguntas para Analista de Cibersegurança
Seu entrevistador vai fazer a própria versão desta. Cole a descrição real da vaga no Question Predictor gratuito e receba as 20 perguntas que essa vaga tem mais chance de fazer, com o que cada uma está de fato sondando.
Prever minhas perguntas